Business Impact Analysis (BIA): Kritische Prozesse identifizieren

Eine Business Impact Analyse (BIA) ist ein strukturiertes Verfahren nach ISO 22301 Clause 8.2.2 zur Identifikation kritischer Geschaeftsprozesse und deren potenzieller Auswirkungen bei Unterbrechungen. Die BIA ermittelt Zeitparameter wie RTO (Recovery Time Objective), RPO (Recovery Point Objective) und MTPD (Maximum Tolerable Period of Disruption) als Grundlage fuer BCM-Strategien. Nach BSI 200‑4 ist die BIA der zentrale Baustein des Business Continuity Managements.

Ein praxistauglicher Ablauf umfasst die Erfassung der Geschäftsprozesse und Verantwortlichen, die Bewertung der Auswirkungen über die Zeit sowie die Festlegung von Wiederanlaufprioritäten und benötigten Ressourcen. Interviews mit den Fachbereichen machen Abhängigkeiten zu IT, Personal und Dienstleistern sichtbar. Die Ergebnisse werden mit den Prozessverantwortlichen abgestimmt und dokumentiert. Der BSI-Standard 200‑4 bietet dafür einen methodischen Rahmen; Umfang und Detailtiefe hängen von der Organisation ab.

Die BIA (Business Impact Analyse) analysiert die Auswirkungen von Prozessunterbrechungen, was passiert, wenn ein Prozess ausfällt. Die Risikoanalyse hingegen bewertet Eintrittswahrscheinlichkeiten und Bedrohungsszenarien, warum ein Prozess ausfallen könnte. Nach ISO 22301 sind beide Verfahren in Clause 8.2 gefordert und ergänzen sich: Die BIA liefert Wiederherstellungsprioritäten, die Risikoanalyse identifiziert präventive Maßnahmen.

RTO bezeichnet die angestrebte Zeit bis zur Wiederaufnahme eines Prozesses. RPO beschreibt, welcher Datenverlust zeitlich toleriert werden kann. MTPD ist die Zeitspanne, nach der die Auswirkungen einer Unterbrechung für die Organisation nicht mehr akzeptabel sind. MBCO bezeichnet das mindestens benötigte Leistungsniveau im Notbetrieb. Diese Anforderungen müssen mit Abhängigkeiten und tatsächlich erreichbaren Wiederanlaufzeiten abgeglichen werden.

§ 30 Absatz 2 Nummer 3 BSIG verlangt von betroffenen Einrichtungen Maßnahmen zur Aufrechterhaltung des Betriebs, zur Wiederherstellung und zum Krisenmanagement. Die Vorschrift schreibt eine BIA nicht ausdrücklich als eigenständiges Verfahren vor. Eine BIA hilft, kritische Prozesse, Abhängigkeiten und Wiederanlaufprioritäten nachvollziehbar zu bestimmen. Welche Maßnahmen erforderlich sind, richtet sich nach Anwendungsbereich, Risiken und Verhältnismäßigkeit; pauschale Projektlaufzeiten lassen sich daraus nicht ableiten.

Eine BIA-Vorlage sollte Prozesse und Verantwortliche, zeitabhängige Auswirkungen, Wiederanlaufziele und benötigte Ressourcen erfassen. Ergänzen Sie Abhängigkeiten, Bewertungsannahmen und die Freigabe der Ergebnisse. Der BSI-Standard 200‑4 und seine Hilfsmittel können als Ausgangspunkt dienen. Passen Sie die Vorlage an Ihre Organisation an; das Ausfüllen einer Vorlage allein weist noch kein wirksames BCM nach.

Legen Sie einen risikogerechten Überprüfungsrhythmus fest und aktualisieren Sie die BIA bei wesentlichen Änderungen, etwa an Prozessen, IT-Systemen, Dienstleistern oder Verantwortlichkeiten. Auch Vorfälle und Übungen können Änderungsbedarf zeigen. Ein jährlicher Review kann eine interne Planungsvorgabe sein; er ersetzt keine anlassbezogene Prüfung und ist nicht für jede Organisation pauschal die gesetzliche Mindestfrist. Halten Sie Änderungen, Annahmen und Freigaben nachvollziehbar fest.